★ 北京廣利核系統工程有限公司 胡光耀

關鍵詞： 故障探測；安全級DCS；隔離繼電器；設備接口模塊；自診斷；電源監視

自診斷功能是核電廠數字化儀控系統（Digital Instrument & Control System， DCS）的關鍵功能之一。安全級DCS平臺通過其自診斷功能對影響系統功能執行的故障進行探測[1] ，并根據故障的等級進行相應的報警[2]。在資源允許的情況下， DCS應配置充足的故障診斷措施，以覆蓋故障時對儀控系統主要功能產生影響的功能單元[3]。DCS的診斷覆蓋率越高，故障報警指示越清晰、準確，越有利于系統的維護，從而提升核電廠運行的安全性和經濟性。

某核電廠安全級執行器采用FirmSys[4]平臺設備接口模塊（Component Interface Module， CIM）進行指令優先級管理和驅動控制。作為執行專設安全設施驅動功能的重要環節之一， CIM的驅動電源需要進行監視以確保安全級執行器驅動功能的可用性。在該核電廠安全級DCS項目工廠測試期間發現，現有CIM驅動電源監視方案無法完整覆蓋驅動控制回路的實際供電狀態，難以快速、準確發現和修復故障。為解決該問題，本文結合FirmSys平臺DCS系統的特點，對CIM驅動電源監視方案進行分析并提出改進設計方案。

1   系統概述

某核電廠安全級DCS中， FirmSys平臺配置的CIM板卡可接收來自專設安全設施驅動機柜（Engineered Safety Features Actuation Cabinet， ESFAC）、安全相關機柜（Safety Related Cabinet， SRC）、多樣性驅動系統（Diverse Actuation System， DAS）和非安全級（Non-classified， NC）DCS系統等不同儀控系統/設備的硬接線或通信驅動指令。 CIM板卡對上述不同驅動指令進行優先級管理后， 選擇輸出具有最高優先級的驅動控制指令至現場執行器。通常情況下，每一個CIM板卡用于控制一個執行器。

基于FirmSys平臺的CIM板卡主要功能包括：

（1）驅動指令采集功能；（2）優先級管理功能； （3）驅動控制功能；（4）反饋信號采集功能；（5）自診斷和定期試驗功能。CIM板卡的原理結構示意圖如圖1所示。

圖1 CIM板卡的原理結構示意圖

2   驅動電源監視方案分析

CIM板卡的驅動控制回路采用MOS型開漏輸出，通過外接24V或48V驅動電源，實現驅動控制指令的高電平或低電平輸出，并通過硬接線直接與對應的執行器控制線圈相連接。CIM板卡可以對自身接入的外部驅動電源狀態進行監測，并通過通信路徑上傳至與其連接的控制器。

基于以上應用方式和產品特性， 某核電站安全級DCS在設計時，使用CIM板卡的驅動電源狀態監測的結果判斷驅動控制回路的供電狀態。

驅動電源監視方案如圖2所示。部署于各機柜中的CIM板卡可獨立監視自身的驅動電源狀態（電源狀態正常為Ture，異常為False），并通過IO總線上傳至與之連接的安全級控制器中。安全級控制器主處理單元（Main Processing Unit， MPU）接收該狀態后，將本控制器涉及的所有CIM板卡對應的驅動電源監視狀態以CIM板卡所在機柜為單位進行合并，再通過通信輸出至非安全級顯示單元中進行報警顯示。當某一機柜中任意一個CIM板卡對應的驅動電源監視狀態為False時，則觸發該機柜的CIM驅動電源狀態報警。

圖2 驅動電源監視方案

圖2所示驅動電源監視方案的設計前提為CIM板卡的驅動控制回路直接與現場執行器相連接。通常情況下，采用CIM驅動的執行器安全級別與CIM板卡的安全級別相同。因此， CIM板卡可以直接與安全級執行器連接，無需增設額外的隔離裝置。當CIM板卡的驅動控制回路因電源模塊故障、空開跳閘、供電回路斷線等原因導致供電喪失時， CIM板卡將提示自身接入的驅動電源異常，表征該板卡無法再繼續驅動執行器動作。

某核電項目中，部分由CIM控制的執行器安全分級為非安全級。根據GB/T 13286-2021的要求，非安全級電路與安全級電路之間相互連接時，應采用安全級隔離裝置進行電氣隔離[5]。因此，此類情況下需要在安全級機柜中增加繼電器，實現CIM板卡與非安全級執行器的電氣隔離，以滿足獨立性的要求。同時為了滿足驅動現場執行器的要求， DCS設計時在繼電器觸點側引入獨立的48VDC驅動電源。 CIM板卡及驅動電源接線圖如圖3所示。

圖3 CIM板卡及驅動電源接線圖

該架構中，繼電器線圈側的電源（電源1）以及觸點側的電源（電源2）均屬于該執行器驅動電源，任意一路電源失效均會導致執行器無法正常動作。因此，當任意一路電源故障時， DCS均應產生實時的報警。基于現有的驅動電源監視方案，當電源1出現故障或電源1和電源2同時故障時， CIM板卡接入的24V/48V供電狀態將出現異常。此時， CIM板卡可以通過自身的驅動電源狀態監視功能識別故障狀態。但是，當僅電源2出現故障時，該故障既無法被CIM板卡的驅動電源狀態監視功能所覆蓋，也難以通過其他診斷功能識別。

3   驅動電源監視方案改進

針對上述CIM驅動控制回路中配置隔離繼電器的應用方式，原驅動電源監視方案無法滿足繼電器線圈側和觸點側的電源狀態監視需求。為解決該問題，本文提出了2種改進方案。

3.1   改進方案1

改進方案1采用驅動電源2空開輔助觸點串聯監視方式。該方案以機柜為單位，將機柜內所有隔離繼電器觸點側供電電源空開的輔助觸點狀態進行匯總，通過硬件串聯的接線方式接入安全級控制器，實現對電源2狀態的集中監視。

改進方案1的設計原理如下：

（1）將機柜內所有隔離繼電器觸點側供電電源空開的輔助觸點進行串聯；

（2）將串聯后的回路接入安全級控制器的數字量輸入（Digital Input， DI）模塊；

（3）在控制器軟件中，將DI輸入狀態與機柜內所有CIM板卡自診斷電源狀態進行邏輯運算；

（4）當任意一路隔離繼電器供電空開跳閘或其輔助觸點狀態異常時，串聯回路斷開，控制器檢測到狀態變化；

（5）控制器將合并后的報警狀態通過通信輸出到非安全級顯示單元。

改進方案1接線示意圖如圖4所示。當機柜中所有隔離繼電器供電空開均處于閉合狀態且輔助觸點正常時，串聯回路導通， DI模塊檢測到高電平（邏輯狀態“1”）；當任意一個隔離繼電器供電空開跳閘或其輔助觸點故障導致觸點斷開時，串聯回路中斷，  DI模塊檢測到低電平（邏輯狀態為“0”）。在安全級控制器中，對新增的觸點側電源狀態與原有的CIM板卡自診斷電源狀態進行合并處理。該邏輯確保了無論是電源1 （CIM板卡自診斷）故障，還是電源2（隔離繼電器電源）故障，均能觸發統一的機柜級報警。

圖4 改進方案1接線示意圖

改進方案1硬件架構簡單， 僅使用供電空開的輔助觸點，無需新增繼電器等中間器件，接線直觀、成本低；監視回路完全由純硬件無源觸點構成，不依賴軟件邏輯實現回路通斷檢測，抗電磁干擾能力強，硬件故障率極低，在空開狀態正常、回路無斷線的場景下，能夠穩定實現電源2的狀態監視。但是，使用空開輔助觸點，僅能監視空開分合閘狀態，無法覆蓋空開閉合但后端供電回路斷線的故障場景。

3.2   改進方案2

針對改進方案1無法監測“空開閉合但后端回路斷線”的問題，本文提出了改進方案2采用驅動電源電壓采集的設計方式。在隔離繼電器觸點側（驅動電源2）引入獨立的電壓采集回路，將電壓信號轉換為數字量信號輸入至安全級控制器。通過在MPU內部構建邏輯運算，將新增的驅動電源狀態信號與CIM板卡自診斷電源狀態信號進行深度融合，從而實現對驅動電源2全鏈路（包括空開本體、供電線路及負載端）的無死角監視。

改進方案2接線示意圖如圖5所示。該方案以驅動電源2本身的24V/48V電源作為激勵源，驅動專用中間繼電器，當供電回路正常時，采集點獲得高電平；一旦供電丟失（無論是由空開跳閘還是線路斷路引起），采集點電平立即跌落。以機柜為單位，若機柜內存在多個需要隔離的設備，將每個設備的中間繼電器觸點串聯，通過DI通道，采集串聯后的驅動電源的電源狀態信號。在安全級控制器軟件中，對該路新采集的電源狀態信號與驅動電源1的CIM板卡自診斷電源狀態信號執行“與非”安全邏輯運算，整合生成驅動電源監視報警，并將狀態發送至非安全級顯示單元。

正常工況： 驅動電源1與驅動電源2供電回路均正常，驅動電源電壓穩定， MPU檢測到雙路電源狀態均為邏輯“1力，系統運行正常。

故障工況：若驅動電源2空開跳閘，電壓消失， DI輸入狀態為“0力，觸發報警；若驅動電源2空開處于閉合狀態，但后端線路發生斷線或接觸不良，采集點取自負載側或回路末端，電壓同樣跌落，  DI輸入狀態為“0力，同樣觸發報警。

改進方案2通過直接監測回路電壓，能夠覆蓋空開跳閘、回路斷線、接線端子松動、電源模塊失效等全場景故障模式。該方案采用獨立的電壓采集回路，搭配專用中間繼電器，信號傳輸穩定，抗干擾能力強，能夠通過電平變化精準反映供電狀態。通過獨立的電壓監視通道，運維人員可快速區分是電源側故障還是控制邏輯側故障。

圖5 改進方案2接線示意圖

需要說明的是， 改進方案1和改進方案2均可實現驅動電源狀態監視的核心目的。改進方案1采用電源空開的輔助觸點，無需考慮新增物資、機柜空間、柜內電纜布線等問題。鑒于空開輔助觸點故障概率，以及機組正常運行中“空開閉合但后端回路斷線力的概率相對較低，因此對于機柜空間較為緊湊的應用場景，可以優先選擇改進方案1。改進方案2需要增加中間繼電器及電源供電接線， 需要考慮新增物資、機柜空間、柜內電纜布線等問題。對于新增物資較少、機柜空間余量充足的應用場景， 可以優先選擇改進方案2實現對驅動電源2全鏈路（包括空開本體、供電線路及負載端）的監視。

本文所述某核電廠中， CIM驅動控制回路中配置隔離繼電器的應用場景較少，每個序列僅涉及1個CIM。因此， 本項目選擇改進方案2作為工程實施方案。此外，改進方案1也已經成功應用于其他核電機組。經工廠測試和現場實際運行驗證，2種改進方案均能夠有效實現CIM驅動電源的監視功能，工程應用效果良好。

4   總結

自診斷功能作為核電安全級DCS的關鍵特性之一，不僅能夠實時監測系統的運行狀態，還能夠在故障發生時及時上報診斷信息， 為運行維護和故障處理提供重要依據[6]。本文針對CIM驅動控制回路在配置隔離繼電器后出現的電源監視覆蓋不全問題，提出了針對性的改進方案。改進方案1利用驅動電源空開輔助觸點構建硬件串聯回路，整體架構簡單、成本低廉且抗干擾能力強，能夠高效識別空開跳閘及觸點故障；改進方案2則通過驅動電源電壓采集技術， 實現對空開跳閘、線路斷線及電源模塊失效等全場景故障的全覆蓋監測。上述2種改進方案均已通過嚴格的工廠測試及現場運行驗證，在多臺核電機組中表現良好。本研究不僅解決了特定項目的技術難題， 同時為后續核電機組的驅動電源監視方案設計提供了參考。

作者簡介：

胡光耀（1989-） ，男，湖北人，工程師，碩士，現就職于北京廣利核系統工程有限公司，主要從事核安全級儀控系統的設計工作。

參考文獻：

[1] IEC. Nuclear Power Plants - Instrumentation and Control Important to Safety - General Requirements for Systems: IEC 61513[S].Switzerland: IEC, 2011.

[2] IEC. Nuclear Power Plants - Instrumentation and Control Systems Important to Safety - Surveillance Testing: IEC 60671[S].Switzerland: IEC, 2007.

[3] 杜喬瑞, 齊敏, 石桂連, 等. 核安全級儀控系統(FirmSys)平臺軟件設計技術研究與實現[J]. 自動化博覽, 2018, (05) : 66 - 71.

[4] 張弋. "華龍一號"核電技術自主化DCS設計與實現[J]. 自動化儀表, 2021, 42 (S1) : 46 - 51.

[5] GB/T 13286-2021, 核電廠安全級電氣設備和電路獨立性準則[S].

[6] 江國進, 李富, 莫昌瑜, 等. 核安全級數字化儀控系統自診斷功能研究與設計[J]. 核科學與工程, 2019, (01) : 146 - 154.

摘自《自動化博覽》2026年7月刊